Fiche concept 4.1.2¶

📌 4.1.2 Comment gérer son authentification de manière sécurisée ?¶

#MotDePasse #AttaqueParDictionnaire #AttaqueParForceBrute #BruteForce #Phishing #IngénierieSociale #GestionnaireDeMotDePasse #Authentification #AuthentificationUnique #AuthentificationÀDeuxFacteurs #2FA #AuthentificationMultifacteur #MFA #Biométrie #FacteurInhérent #FacteurDePossession #17Cyber #Perceval #PaiementSécurisé #HTTPS #BonnesPratiques

Résumé

Bonnes pratiques de gestion des mots de passe : Utiliser des mots de passe longs et complexes, un mot de passe unique par service et un gestionnaire de mots de passe. Le renouvellement périodique n’est plus toujours recommandé sauf pour les comptes critiques. Éviter les questions secrètes trop évidentes et ne jamais stocker un mot de passe en clair.
Risques liés aux mots de passe : Un mot de passe trop simple ou mal protégé expose l'utilisateur à différentes attaques : attaque par force brute (bruteforce), ingénierie sociale, interception sur le réseau.
Authentification centralisée et mutualisée : Attention aux services d’authentification proposés par des sociétés privées et hors UE (comme Google ou Facebook) dont le modèle économique est basé sur l'exploitation des données qu'elles collectent. Privilégier des services publics français (comme FranceConnect ou L’Identité Numérique La Poste). Vérifier les permissions accordées aux services tiers.
Authentification multifacteur (MFA) : Utiliser une MFA pour ajouter une couche de sécurité supplémentaire – par SMS, via une application d’authentification ou avec des clés physiques. Elle est indispensable pour protéger les comptes sensibles, comme ceux des banques ou des réseaux sociaux.
Paiements en ligne et biométrie : Privilégier les sites en HTTPS, utiliser des cartes virtuelles ou des plateformes sécurisées. En cas de fraude, faire un signalement sur la plateforme en ligne Perceval. Sur smartphone, la biométrie, stockée localement, limite les risques de fuite de données.

Prenons quelques minutes pour essayer d’évaluer combien de comptes numériques nous possédons. Réseaux sociaux, messageries électroniques, sites e-commerce, applications, jeux vidéo, etc. Même des comptes créés il y a des années et que nous n’avons jamais plus utilisés… Au final, combien de fois avons-nous dû créer une "combinaison identifiant + mot de passe" pour accéder à un service numérique ? Plutôt 20, 80 ou 120 fois ?

Une enquête quantitative menée en avril 2026 auprès de 1 509 utilisateurs du gestionnaire de mots de passe NordPass¹ révèle qu’un utilisateur possède en moyenne environ 120 mots de passe personnels et 67 professionnels, soit près de 187 mots de passe par utilisateur !

Pourtant en France, selon la CNIL, environ 60% des notifications d’incidents de sécurité reçues entre 2021 et 2022 concernaient des piratages, dont une large part aurait pu être évitée grâce à de bonnes pratiques de gestion des mots de passe².

→ Mais alors, c’est quoi un "bon" mot de passe ?¶

On nous l’a déjà répété mille fois : il est recommandé d’utiliser un mot de passe robuste(1), c'est-à-dire un mot de passe complexe et difficile à deviner. (Voir Partie 4 : Terminaux > Fiche Concept 4.2.2). Qu’est-ce que ça signifie concrètement ?

🔎 Définition : Pour être robuste, un mot de passe doit être complexe, afin que personne ne puisse le deviner. Il doit comporter au minimum 12 caractères mélangeant les majuscules, les minuscules, des chiffres et des caractères spéciaux. Il convient d'éviter toutes les informations qui vous concernent et qui sont facilement accessibles (sur vos réseaux sociaux par exemple) comme les dates de naissance de vos proches, les noms de vos proches, ceux de vos animaux de compagnie, etc.

Pour commencer, il faut éviter les mots de passe faibles, ceux qui sont trop faciles à deviner³ :

Les mots de passe les plus communs comme 123456, azerty (les premières lettres sur un clavier français), motdepasse, password, admin ou encore 0000.
Les mots de passe contenant des mots du dictionnaire, des noms de stars ou tout autre référence populaire comme soleil, cocacola, pokemon ou coucou.
Les mots de passe par défaut, souvent très simples sont connus des cybercriminels.

Imaginons que nous trouvons un smartphone dans la rue : pour pouvoir le rendre à son propriétaire, nous cherchons à accéder à ses contacts. Quels mots de passe essayer en premier pour déverrouiller l’appareil, sachant que nous ne connaissons rien de la personne à qui il appartient ?

Et bien, sans en avoir conscience, nous nous lançons dans une attaque par dictionnaire qui, comme son nom l’indique, teste des mots de passe à partir de listes prédéfinies de mots courants du dictionnaire ou des mots de passe les plus utilisés⁴. Remarque : des listes sont même disponibles sur le Web, triées par pays, par génération⁵…
Il est probable que nous testions les premières combinaisons. Un pirate, lui, se servira d’un logiciel de cassage de mots de passe, comme John the Ripper⁶ qui combine à la fois un dictionnaire de plusieurs millions de MdP classiques et des règles de variation de ces MdP (il utilise des majuscules, ajoute différentes combinaisons de chiffres, etc).
L’attaque par dictionnaire est une méthode d’intrusion d’autant plus redoutable qu’elle est simple, accessible à un pirate peu expérimenté, et automatisée.

C’est le cœur même des attaques dites par force brute (bruteforce attacks)⁴ qui consistent à tester toutes les combinaisons de caractères possibles jusqu’à trouver la bonne. Ces attaques sont automatisées au moyen d’un programme informatique, ce qui permet de tester des milliers de combinaisons en peu de temps. Exemple de combinaisons testées : a, ab, abc, abcd […] abc123, abc1234 […] b, bc, bcd, etc.

De très nombreux sites et applications ont un nombre de tentatives de connexion limité⁷ pour se protéger contre les attaques par dictionnaire ou par force brute. Mais si une base de données de mots de passe chiffrés d'internautes est volée puis vendue sur le Dark Web, aucune limitation n'empêchera les cybercriminels de tenter de déchiffrer votre MdP. Une des meilleures protections contre les attaques par dictionnaire ou force brute sera d’avoir choisi un mot de passe robuste.

Pour créer un "bon" mot de passe, un mot de passe robuste, il faut respecter quelques règles simples : utiliser au moins 12 caractères et différents types de caractères (minuscules, majuscules, chiffres et caractères spéciaux)⁸^,⁹. En n’utilisant que des lettres et des chiffres, un mot de passe de 6 caractères génère plus de deux milliards de combinaisons possibles. Passer à 7 caractères fait bondir ce total à plus de 78 milliards⁴.

Ainsi, l'augmentation, même modérée, de la longueur d’un mot de passe accroît de manière exponentielle le temps nécessaire à sa découverte lors d’une attaque¹⁰. Un mot de passe court peut être compromis en quelques instants, alors qu’un mot de passe plus long peut nécessiter des durées de calcul extrêmement importantes, même avec des ordinateurs puissants (car chaque caractère supplémentaire multiplie le nombre de combinaisons possibles).

De nombreux outils en ligne permettent d’estimer, selon différents critères (longueur, types de caractères utilisés, etc.), le temps nécessaire pour découvrir un mot de passe¹¹.

→ Oui mais... si j’utilise des infos personnelles, je le retiendrai plus facilement ?¶

Il est recommandé d’utiliser un mot de passe "anonyme", c'est-à-dire de ne pas créer une combinaison à partir d’informations personnelles⁸^,⁹ comme le nom, le prénom, la date de naissance, le numéro de département ou encore le nom du chat : marie1991 ou félix31.

En effet, ces informations personnelles sont très facilement trouvables, que ce soit sur les réseaux sociaux, dans les documents officiels, renseignées lors de l’inscription sur un compte (qui peut être piraté par la suite) ou même récupérées par phishing(1) ou ingénierie sociale(2). (Voir Partie 2 : Données > Fiche Concept 2.1.3 ; Partie 4 : Terminaux > Fiche Concept 4.2.2)

🔎 Définition : Contraction des mots phreaking qui veut dire "piratage de lignes téléphoniques" et fishing qui signifie "pêche". Technique frauduleuse destinée à leurrer l’internaute pour l’inciter à communiquer des informations confidentielles (codes d'accès, coordonnées bancaires…) en se faisant passer pour un tiers de confiance (assurance maladie, banque, fournisseur d'énergie, etc.).
🔎 Définition : L'ingénierie sociale, social engineering en anglais, est un ensemble de méthodes utilisé pour obtenir des informations, des accès ou des autorisations, en exploitant des techniques de manipulation psychologique. Les attaquants tirent parti de traits humains spécifiques, tels que la confiance, la curiosité ou la peur, afin de passer outre la vigilance des utilisateurs.

→ Je peux utiliser des variations du même mot de passe ?¶

Il est déconseillé d’utiliser plusieurs fois le même mot de passe, même avec une légère modification¹², comme ajouter le nom du site au début ou à la fin d’un mot de passe de base (par exemple, transformer doudou2021 en impots-doudou2021). Si un cybercriminel découvre le mot de passe d'un compte, tous les autres comptes utilisant ce même mot de passe ou son dérivé peuvent être facilement piratés, car ce type de schéma est particulièrement vulnérable aux attaques par dictionnaire.

Une attention particulière doit être accordée au mot de passe de sa messagerie électronique. Car elle joue souvent un rôle central dans la récupération des identifiants d’autres services (via le lien "mot de passe oublié"). Si un cybercriminel parvient à accéder aux emails d'une personne, il peut réinitialiser les mots de passe de ses autres comptes en ligne et en prendre le contrôle⁸^,⁹.

→ C’est ok si je le note sur un papier ?¶

On pense souvent à tort que comme ce n’est pas numérique, ce n’est pas piratable. Mais un post-it avec le mot de passe collé sur l’écran de l’ordinateur ou rangé dans le tiroir du bureau revient à scotcher la clef de son domicile sur la porte d’entrée ! De plus, il est très facile de le perdre, le jeter ou le détruire par accident.

De manière générale, il est essentiel de ne pas stocker ses mots de passe en clair, que ce soit dans un fichier excel, une capture d’écran, un document texte ou même les notes de notre téléphone¹².

En cas de vol, de perte ou de piratage de notre appareil, nous pourrions perdre l’accès à tous nos comptes.

→ Comment retenir un mot de passe robuste si je ne peux pas le noter sur un mémo ?¶

Il existe plusieurs méthodes pour créer un mot de passe robuste et s’en rappeler facilement⁹, notamment :

Quelques conseils pratiques⁹ :

La méthode des premières lettres : inventez une phrase dont vous vous rappellerez ou qui a une signification particulière pour vous. Ne gardez ensuite que les premières lettres de chaque mot, en alternant majuscules et minuscules, puis insérez des chiffres et des caractères spéciaux. Il vous suffit alors de prononcer mentalement la phrase pendant que vous écrivez votre mot de passe. Exemple : J’aime manger six tartes aux fraises et regarder les étoiles : Jm6tAf&Rl*

La méthode phonétique : comme dans la méthode précédente, inventez une phrase puis essayez de l’écrire de manière phonétique, avec majuscules, minuscules, chiffres et caractères spéciaux. Exemple : J’ai acheté huit CD pour cent euros cet après-midi : ght8CD%€7am

→ J’ai plus de 100 comptes, je ne peux pas retenir tous ces mots de passe, même avec des astuces mnémotechniques !¶

Même avec la meilleure des volontés, il serait ambitieux de vouloir mémoriser 100 mots de passe.

Mais de nombreux outils numériques, appelés gestionnaires de mots de passe, peuvent le faire à notre place¹³. Sorte de coffre-fort numérique, un gestionnaire de MdP permet de générer des mots de passe robustes, puis de les stocker et de les chiffrer de manière à ce qu’ils ne soient accessibles que par leur propriétaire grâce à un mot de passe maître. Autrement dit, il suffit de retenir uniquement ce dernier pour accéder à tous ses autres mots de passe, identifiants, voire codes de carte bleue. Pour une sécurité optimum, le mot de passe maître doit être particulièrement robuste.
Ces outils proposent généralement aussi des fonctionnalités pour se connecter automatiquement ou pré-remplir les champs de connexion.

Attention, les gestionnaires de mots de passe intégrés dans les navigateurs sont déconseillés, pour des questions de sécurité¹⁴. D’ailleurs, il est très facile d’afficher en clair un mot de passe "caché" par des étoiles dans une page web depuis un navigateur¹⁵.

→ Certains sites me proposent de m’authentifier via mon compte Google, c’est pratique mais est-ce que c’est sécurisé ?¶

L’authentification unique (ou SSO, pour Single Sign-On), particulièrement pratique, désigne la possibilité de se connecter à des sites web via un compte tiers (comme Google, Apple, Facebook ou encore FranceConnect). En quelques clics, l’utilisateur accède au service sans avoir à créer un nouveau compte ni à mémoriser un mot de passe supplémentaire. Cette méthode repose sur un mécanisme de délégation : le site tiers confie la gestion de l’authentification à une plateforme de confiance¹⁶^,¹⁷. C’est confier à Facebook, par exemple, le rôle d’autorité d'authentification : le site auquel nous nous connectons ne reçoit pas notre mot de passe Facebook, mais une confirmation sécurisée de Facebook attestant de notre identité.

Cependant, en liant nos comptes de cette manière, nous autorisons la transmission de données personnelles (comme notre adresse email, notre photo de profil ou notre liste de contacts) au site web¹⁸. Inversement, le site transmet aussi le détail de notre activité à notre fournisseur d’identité, qui peut exploiter ces informations pour du profilage utilisateur (afin d’analyser nos habitudes et centres d’intérêt) ou à des fins publicitaires. (Voir Partie 2 : Données > Fiche Activité 2.1)

Dans ce cadre, il est important de distinguer les services d'authentification fournis par des acteurs privés – dont le modèle économique repose souvent sur le profilage des utilisateurs – et les services souverains comme FranceConnect, France Identité ou L’Identité Numérique La Poste. Ces derniers sont recommandés par l’administration française et reconnus par l’ANSSI pour les démarches sensibles¹⁹.

Cependant, il subsiste toujours un risque : si le compte de notre fournisseur d’identité est compromis, un attaquant pourrait accéder à l’ensemble des services auxquels nous nous connectons via ce fournisseur. C’est pourquoi il est indispensable de renforcer la sécurité avec des mesures complémentaires, comme l’authentification à deux facteurs (2FA)²⁰.

→ Et comment marche l'authentification à deux facteurs ?¶

En 2025, l’authentification à deux facteurs (double authentification ou 2FA) est devenue un standard en matière de cybersécurité, aussi bien pour les entreprises que pour les particuliers²⁰. Lorsqu’elle repose sur deux facteurs ou plus, on parlera d’authentification multifacteur(1) (MFA).

🔎 Définition : L’authentification multifacteur, Multi-Factor Authentication (MFA) en anglais, est une méthode de sécurité qui demande au moins deux preuves d’identité avant d’autoriser l’accès à un compte ou à un système. En plus du couple identifiant / mot de passe, d'autres facteurs sont requis, comme un code reçu par SMS ou via une application, une clé de sécurité ou une reconnaissance biométrique. Cette méthode renforce la sécurité car elle rend beaucoup plus difficile l’accès non autorisé, même si un mot de passe est volé ou compromis. L'authentification à deux facteurs, Two-Factor Authentication (2FA) en anglais, est un cas particulier de MFA.

Elle consiste à ajouter une couche de sécurité supplémentaire à la simple connexion par mot de passe. Il peut s’agir :

d’un code temporaire envoyé par SMS ou email,
d’une notification via une application dédiée (comme Google Authenticator ou Microsoft Authenticator),
ou d’une validation biométrique (empreinte digitale ou reconnaissance faciale).

L’avantage majeur de la 2FA ? Même si un pirate parvient à voler un mot de passe, il lui faudra aussi posséder ou imiter le second facteur pour accéder au compte, ce qui rend les attaques beaucoup plus difficiles.

→ Est-ce qu’il existe des façons de s’authentifier sans mot de passe ?¶

En 2025, il existe plusieurs moyens de s’authentifier sans utiliser de mot de passe :

Parmi les principales alternatives, la biométrie (empreinte digitale, reconnaissance faciale ou vocale), aussi appelée "facteur inhérent"²¹, occupe une place centrale : l’appareil (smartphone, ordinateur) vérifie l’identité de l’utilisateur en analysant ses caractéristiques uniques et permanentes. Il n'est plus nécessaire de saisir un code ou un mot de passe. Contrairement à un mot de passe, les données biométriques ne peuvent pas être modifiées, même en cas de compromission²²(1).
1. 🔎 Définition : En cybersécurité, une compromission désigne l'accès, le contrôle ou la modification non autorisés d'un système, d'un appareil ou de données. Elle survient lorsque la sécurité est brisée (via un piratage, un malware ou une faille), entraînant une perte de confidentialité, d'intégrité ou de disponibilité, avec des risques majeurs de vol de données ou d'espionnage.

Considérées comme données sensibles(1) par le Règlement sur la protection des données (RGPD) depuis mai 2018, elles doivent faire l’objet d’un traitement strictement encadré pour limiter les risques liés à leur collecte et à leur utilisation. Ces données sont généralement stockées localement sur l’appareil, dans un espace sécurisé et inaccessible depuis l’extérieur. Cette mesure renforce leur protection et répond à l’une des conditions fixées par la CNIL pour ce qu’elle appelle l'exemption domestique²³(2).

🔎 Définition : Une donnée sensible est une catégorie particulière de données personnelles qui concerne les informations révèlant la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses/philosophiques/l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé/la vie sexuelle/l'orientation sexuelle d'une personne physique.
🔎 Définition : L'exemption domestique désigne un régime juridique (article 2 du RGPD) qui exempte certains dispositifs biométriques domestiques de l’autorisation de la CNIL. L’exemption s’applique si les données sont stockées sur un support individuel, sous le contrôle exclusif de l’utilisateur, utilisées à titre privé, et si une méthode d’authentification alternative est disponible.
D’autres méthodes reposent sur un facteur de possession, c’est-à-dire un objet physique que l’utilisateur possède²⁴ – comme une clé de sécurité physique (qui utilise le plus souvent l’authentification FIDO(1) ou une carte à puce. Leur avantage : même si un pirate découvre l’identifiant (ou le mot de passe), il ne pourra pas accéder au compte sans être en possession de ce dispositif.
1. 🔎 Définition : L’authentification FIDO, pour Fast Identity Online en anglais est une méthode de connexion qui permet de remplacer ou de renforcer les mots de passe grâce à un appareil sécurisé, comme un smartphone, une clé de sécurité ou la reconnaissance biométrique (empreinte digitale, reconnaissance faciale). Lors de la connexion, l’utilisateur doit prouver son identité avec cet appareil plutôt qu'avec un simple mot de passe. Cette méthode limite fortement les risques de vol d’identifiants et de détournement de comptes, notamment en cas de phishing ou de fuite de mots de passe, tout en simplifiant la connexion pour l’utilisateur qui n'a plus à mémoriser ses mots de passe.

Toutes ces solutions visent à limiter les faiblesses et les risques associés aux mots de passe traditionnels : réutilisation, oubli, attaques par phishing ou vol.

→ Et pour les paiements en ligne ?¶

Avant de réaliser un achat en ligne, il est crucial de vérifier que le site utilise le protocole HTTPS (cadenas affiché dans la barre d’adresse), certifiant le chiffrement des données échangées (voir Partie 3 : Réseaux > Fiche Concept 3.2.1). Cependant cela ne garantit pas la légitimité du site.

Les paiements en ligne comportent des risques comme le phishing ou le vol de données bancaires. Pour les limiter, il est essentiel d'utiliser exclusivement des solutions de paiement sécurisées : cartes à cryptogramme dynamique, e-cartes virtuelles (proposées par les banques), ou des intermédiaires de paiement fiables comme PayPal, Apple Pay, Google Pay ou Wero. Ces services offrent une couche de protection supplémentaire en ne transmettant jamais directement d'informations bancaires au marchand²⁶.

En cas de suspicion de fraude ou de vol de carte, il faut rapidement faire opposition via sa banque et signaler tout paiement non autorisé sur les plateformes officielles :

la plateforme 17Cyber²⁷, dédiée à la cybersécurité, permet d’avoir un diagnostic et des conseils immédiats et
le service Perceval²⁸ permet de déclarer une fraude à la carte bancaire auprès des autorités.. Ces réflexes, associés à une vigilance accrue lors de chaque transaction, constitue la meilleure défense contre les escroqueries en ligne.

→ Qu'est-ce qu'on peut conclure ? ¶

Bien gérer son authentification et sécuriser ses comptes permet de limiter les risques de piratage. Quelques règles simples suffisent : adopter un mot de passe robuste (long de 12 caractères ou plus, complexe, unique et dépourvu d'informations personnelles) ; en cas de doute, le modifier rapidement et rester attentif aux éventuelles fuites de données, par exemple via le site HaveIBeenPwned²⁹.

Pour renforcer davantage la sécurité, il est recommandé d’utiliser un gestionnaire de mots de passe sécurisé et d’activer l’authentification à deux facteurs sur tous ses comptes. Les solutions modernes, comme la biométrie ou les clés de sécurité physiques, tendent à remplacer progressivement le mot de passe traditionnel.

Enfin, il est essentiel d’utiliser des outils fiables, de préférence recommandés par des organismes comme l'ANSSI ou la CNIL. Ces bonnes pratiques doivent également s’accompagner d’une protection efficace des données et des systèmes afin de garantir une sécurité numérique globale.

Qu’avez-vous pensé de ce contenu ? Clair : Utile :

Si vous souhaitez nous faire part de vos suggestions d'amélioration contactez-nous !

Envoyer un email à cyberclass@class-code.fr

¶

Pour aller plus loin ?¶

Fiches concepts liées¶

Ressources complémentaires¶

Partie 2 : Données > Fiche Activité 2.1 : Profils numériques)

Licence¶

🎯 Attribution : Une réalisation collective produite par Class’Code dans le cadre du programme TalCyb. Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-23-CMAS-0020.

Cette ressource éducative a été produite sous licence CC BY-SA Class’Code 4.0 FR (1) - Publication : mars 2026 ; Dernière mise à jour : juin 2026.

Creative Commons - Attribution obligatoire et crédit à l’auteur - Liberté d’utilisation et d’adaptation - Pas de restriction spécifique

Sources¶

Voir la fiche dans le portail